‘뚫렸는데도 몰랐다” 북한해커 추정 집단에 해킹당했다는 한국 정부 시스템

북한 해커 집단, 정부 ‘온나라 시스템’ 해킹 정황 드러나다

2025년 7월, 대한민국 핵심 공무원 업무 시스템인 ‘온나라 시스템’이 북한 해킹조직 ‘김수키(Kimsuky)’로 추정되는 세력에 의해 해킹당한 사실이 공식 확인됐다. 국가정보원과 행정안전부는 최근 브리핑을 통해, 외부 인터넷 PC로 정부 원격근무시스템(G-VPN)에 무단 접속한 후 행정전자서명(GPKI) 인증서를 대량 탈취해 온나라 시스템에 불법 침입한 사실을 발표했다. 해커들은 최대 650여 명의 공무원 인증서와 일부 비밀번호까지 확보해 자료 열람은 물론, 내부 정보 유출 가능성을 현실 위협으로 만들었다.​

해킹 경로와 수법, ‘합법 사용자’ 위장 침투

이번 공격의 핵심은 해커가 공무원 PC를 대상으로 한 ‘피싱’과 인증서 탈취다. 조사에 따르면 해커는 2022년 하반기부터 약 3년에 걸쳐 G-VPN 및 온나라 접속용 모듈을 이용해 정상 공무원으로 위장, 공식 인증 절차를 통과해 내부망에 침투했다. 이 과정에서 인증 수단과 암호를 포함해 온나라 시스템 접속권한을 확보했으며, 공격자는 국내외 보안 기관 추적을 회피하기 위해 6개의 국내외 IP와 전용 피싱 서버를 동원한 것으로 드러났다. 해킹된 인증서 중 일부는 유효기간이 남아 실제 피해 우려가 컸다.​

김수키 조직, 한국 주요 기관 집중 공격

‘김수키(Kimsuky)’는 2013년 처음 포착된 뒤 한국 외교·안보·통일 등 핵심 분야와 국내 대기업, 군 방첩기관까지 광범위하게 해킹한 것으로 알려진 북한 연계 조직이다. 온나라 해킹 사건을 비롯해 대검찰청, 외교부, 해양수산부, 통신사 등 다수 공공·민간 부문이 공격 목표가 되었다. 하드코어 피싱, 악성코드, 맞춤형 트로이목마 등 다층 공격으로 소재·비밀번호·이메일 서버 소스코드까지 빼돌린 정황이 최근 전 세계 해킹 콘퍼런스 자료 등을 통해 공개됐다.​

정부의 대응과 추가 피해 조사

정부는 해커가 사용한 IP를 즉시 전 기관에 알리고 온나라 시스템 로직, GPKI 인증서 폐기 등 긴급 보안조치를 진행했다. 또한, 전수 비밀번호 변경, 피싱사이트 접속 이력 등 위험 계정의 보안 수준을 높였다. 국가정보원과 KISA, 주요 부처는 침입 흔적과 데이터 탈취 여부, 진위 등을 집중 검증하며 추가 피해 방지에 만전을 기하고 있다. “아직 대규모 중요 정보 유출 흔적은 없지만, 일부 자료가 외부로 유출됐다면 언제든 악용될 수 있으므로 중장기 모니터링과 대책이 필수적”이라고 보안 관계자는 밝혔다.​

배후 놓고 ‘북한-중국’ 논란…실체는?

APT Down 보고서, 프랙 등 해킹 전문가 단체는 ‘김수키’가 사건의 주역이라 단정하고 있으나, 일부 보안 전문가는 코드 패턴과 언어, 공격 행태에서 중국계 조직의 개입 가능성도 지적한다. 해킹 과정을 역추적한 결과, 피싱 서버/도구 구성과 커맨드·컨트롤(C&C) 방식이 중국계 해커 특성과 일부 일치한다는 점이 그 근거다. 그럼에도 국내외 기관과 언론, 국제 보안 커뮤니티는 북한 연계설에 힘을 싣는 분위기다.​

한국 사이버안보 현실과 과제

온나라 시스템 해킹 사건은 대한민국 IT 인프라의 취약성과 행정망 보안의 한계를 여실히 드러냈다. 전문가들은 “공공기관 사이버 보안 체계는 이제 단순 차단이 아닌, 실질적 침입 모니터링, 신속 탐지, 다중 인증, 안전한 원격접속 환경 구축 등 총체적 패러다임 전환이 절실하다”고 경고한다. 국정원·KISA 등 보안기관은 전부처·민간 기관 협력 체계와 최신 보안기술, 인력 양성으로 사이버 방패를 재정비하는 한편, 근본적 신뢰 체계 구축에 나서기로 했다.